---

## ما هو

التحليل التلقائي لـ IDA Pro هو ذو خيط واحد (single-threaded). على ملف il2cpp DLL بحجم 34 ميجابايت، قد يستغرق ذلك *دقائق*. يقوم spectrIDA بتقسيم الملف الثنائي إلى N من الأجزاء (shards)، وتشغيلها بالتوازي عبر idalib، ثم دمجها في ملف `.i64` واحد، ثم يترك نموذجًا مضبوطًا بدقة بحجم 8 مليار معلمة **لتسمية كل دالة** — كل ذلك من واجهة طرفية واحدة (terminal UI) ذات طابع سايبربانك وقدر مناسب من السخرية.

هذا هو الفصل الأول، وهو قائم بذاته: سرعة خالصة، لا حاجة للذكاء الاصطناعي إذا كنت لا تريده.

يحول الفصل الثاني المخرجات إلى شيء يعمر بعد الجلسة — رسم بياني في Neo4j يمكن لعميل MCP (Claude، [pi](https://pi.dev)، أو أي شيء يتحدث بلغة MCP) أن يعيش فيه بالفعل، بدلاً من أن تقوم بنسخ ولصق مخرجات المفكك (decompiler) في نافذة الدردشة دالةً تلو الأخرى:```
Binary  ─▶  Parallel IDA Analysis  ─▶  Demangle  ─▶  AI Naming  ─▶  Neo4j Graph  ─▶  MCP Server  ─▶  Claude
              (N idalib shards)       (free, real)   (stripped     (persists,        (search/chain/
                                                       leftovers     forever,          rename, live)
                                                       only)         across sessions)

المتطلبات: **IDA Pro 9.x** مع idalib · **Python 3.10+** · **Ollama**```bash
# install Ollama (Windows)
winget install Ollama.Ollama

# pull the model (8.7 GB — go get coffee)
ollama pull hf.co/gdfhhjk/spectrida-re-gguf:latest

# first run — detects your IDA install and sets everything up
spectrida onboard

# or just try the demo right now
spectrida --demo

---

## مفاتيح واجهة TUI

| المفتاح | الإجراء |
|-----|--------|
| `N` | تسمية الدالة المختارة — الذكاء الاصطناعي يبث النتيجة مباشرة |
| `R` | إعادة تسمية — معبأة مسبقاً باقتراح الذكاء الاصطناعي |
| `D` | تبديل الكود الزائف المُفكك (Hex-Rays) |
| `C` | سلسلة الاستدعاء — المستدعون والمستدعات |
| `B` | تسمية مجمعة لجميع دوال `sub_*` في القائمة الحالية |
| `O` | نظرة عامة — ملخص الذكاء الاصطناعي للثنائي بأكمله |
| `/` | بحث تقريبي |
| `?` | تعليمات |
| `Q` | خروج |

---

## واجهة برمجة التطبيقات (API)

لا حاجة لواجهة TUI — قم بتشغيل spectrIDA من البرامج النصية، Claude Code، الدفاتر، أي شيء:```python
import asyncio
from spectrida.api import open_i64

async def main():
    async with open_i64("GameAssembly.i64") as db:

        # list all 153k functions
        funcs = await db.list_functions()

        # name one function — returns name + reasoning + confidence
        result = await db.name_function(0x10001000)
        print(result["new_name"])     # init_atexit_handler
        print(result["reasoning"])    # allocates array of 3 fn ptrs, calls _atexit...

        # batch name everything (with live progress)
        async def on_progress(done, total, r):
            print(f"  {done}/{total}  {r['old_name']} -> {r['new_name']}")

        await db.batch_name(limit=500, rename=True, progress_cb=on_progress)

        # ask what the binary does
        overview = await db.overview()
        print(overview)

        # export to IDA script
        await db.export("names.idc", fmt="idc", named_only=True)

asyncio.run(main())

تجاوزات متغيرات البيئة: `SPECTRIDA_IDALIB` · `SPECTRIDA_MODEL` · `SPECTRIDA_WORKERS` · `SPECTRIDA_OLLAMA_URL`

---

## إضافة تنسيق ثنائي جديد

دعم التنسيقات هو نظام إضافي، وليس كومة من فروع if/elif — PE وNSO وELF كلها مجرد ملفات تحت `spectrida/analysis/formats/`، تُكتشف تلقائيًا. قم بتشغيل `spectrida formats` لرؤية ما هو مسجل حاليًا.```bash
$ spectrida formats
ELF        spectrida.analysis.formats.elf.ELFHandler
NSO        spectrida.analysis.formats.nso.NSOHandler
PE         spectrida.analysis.formats.pe.PEHandler
generic    spectrida.analysis.formats.generic.GenericHandler

@staticmethod
def sniff(header: bytes, path: str) -> bool:
    return header[:4] == b"MYF0"          # however you recognize the format

def prepare(self, path: str, workdir: str) -> PreparedImage:
    # Format idalib already loads natively (ELF, PE, Mach-O)? Just parse
    # the section/segment table — return the original path unchanged.
    return PreparedImage(
        binary_path=path,
        image_base=0,
        sections=[Section(name=".text", va=0x1000, raw_off=0x400,
                           raw_size=0x2000, vsize=0x2000, is_code=True)],
        arch=None,        # set "x86_64"/"arm64" only if IDA can't detect it itself
    )

# Only needed if idalib has NO native loader for this format (NSO is the
# example): do any manual idaapi/ida_segment setup here, called right
# after idapro.open_database() succeeds, before analysis starts.
# def post_open(self) -> None: ...

هذا هو العقد بأكمله:

| الطريقة | مطلوبة؟ | ما تفعله |
|---|---|---|
| `sniff(header, path)` | نعم | فحص البايتات السحرية/الامتداد — هل يمتلك هذا المعالج الملف؟ |
| `prepare(path, workdir)` | نعم | إرجاع `PreparedImage`: الملف الذي يجب أن تفتحه idalib + جدول أقسامه |
| `post_open()` | لا (الافتراضي لا يقوم بشيء) | إعداد يدوي للمقاطع للتنسيقات التي ليس لها مُحمّل IDA أصلي (انظر `nso.py`) |
| `make_shard_binary(image, dst, va_start, va_end)` | لا (الافتراضي يعمل) | تجاوز فقط إذا كان تصفير بايتات الأقسام خارج الشظية خطأً لتنسيقك (انظر `nso.py` — لا تقم أبدًا بتصفير ملف مضغوط) |
| `code_range(image)` | لا (الافتراضي يعمل) | تجاوز فقط إذا كان 'الحد الأدنى/الأقصى لأقسام `is_code`' ليس الإجابة الصحيحة |
| `read_bytes(image, va_start, va_end)` | لا (الافتراضي يعمل) | تجاوز إذا كان `prepare()` يحمل بالفعل البايتات ذات الصلة في الذاكرة (NSO) بدلاً من القرص |
| `global_entry_points(image, text_start, text_end)` | لا (الافتراضي: لا شيء) | تجاوز فقط إذا كان الفحص المحلي لكل شظية سيفقد نقاط الدخول الحقيقية — يحتاج NSO إلى ذلك لأن وظائف الأوراق AArch64 لا يمكن اكتشافها إلا عبر أهداف BL التي تظهر في مكان آخر في الثنائي، وليس من خلال فحص مقدمة محلي |

انظر إلى `formats/pe.py` للحصول على أبسط معالج ممكن (تحليل رأس نقي، بدون تجاوزات) و `formats/nso.py` للحالة الكاملة (يغلف فك الضغط + إعداد المقطع اليدوي + كل التجاوزات).

يمكن لحزم الطرف الثالث أيضًا تسجيل معالج، دون لمس مصدر spectrIDA على الإطلاق، عبر مجموعة نقاط الدخول `spectrida.formats`:```toml
# in a separate package's pyproject.toml
[project.entry-points."spectrida.formats"]
myformat = "spectrida_myformat_plugin:HANDLER"

ذلك كل شيء. يقوم بتسجيل الخادم مع Claude Code و pi تلقائيًا (يقوم بسحب `mcp` + `neo4j` إذا كان إجراء `pip install spectrida` المجرد قد تخطاها)، ويكتب التكوين الخاص بهما، ويخبرك بأي إعادة تشغيل تدين بها له.

**ما يحصل عليه Claude فعليًا، بمجرد تشغيل Neo4j (قسم `[graph]` في تكوين `spectrida`، أو فقط قم بتوجيهه إلى مثيل محلي):**

- `search_functions` / `get_function` / `get_callees` / `get_callers` / `trace_chain` — قراءات سريعة ومخزنة مؤقتًا للرسم البياني. تعيد `get_function` الكود الزائف **و** التفكيك (حدود التعليمات الدقيقة والمعاملات — التي لا يمكن لطبقة الكود الزائف توفيرها، وهو أمر مهم بمجرد الانتقال من 'ماذا يفعل هذا' إلى 'أين يجب تعديل هذا بالضبط') بالإضافة إلى المستدعين/المستدعين المضمّنين، لذلك يقرر Claude ما إذا كان سيستمر في السلسلة بشكل أعمق من خلال النظر إلى ما إذا كان المستدعى لا يزال `sub_*` في الاستجابة نفسها — دون رحلة ذهاب وإياب إضافية فقط لمعرفة أنه لا يوجد شيء آخر لرؤيته.
- `get_full_pseudocode` / `rename_function` — قراءات/كتابات حية وموثوقة مباشرة إلى `.i64` عندما لا تكون المقتطفات المخزنة كافية أو يتم معرفة اسم أخيرًا.
- `analyze_binary` — قم بتسليمه ملفًا ثنائيًا لم يره من قبل (PE أو NSO، مقسم بالتوازي في كلتا الحالتين) ويقوم بتشغيل خط الأنابيب بالكامل — تحليل ← فك التجميل (Itanium *و* MSVC) ← تسمية بالذكاء الاصطناعي للبقايا المجردة حقًا ← دفع كل شيء إلى الرسم البياني — كمهمة خلفية تستقصيها، بحيث لا يسد تشغيل متعدد الدقائق المحادثة.
- `doctor` / `start_all` — تحقق أو شغّل llama-server + Neo4j دون مغادرة الدردشة. إذا لم يكن خادم llama مثبتًا في أي مكان، يقوم `start_all` بجلبه عبر winget (Windows) أو brew (macOS) أولاً — لا حاجة لتنزيل/إعداد llama.cpp منفصل.

إنه ليس سحرًا — دالة لا تزال `sub_140001234` لأن أحدًا لم ينظر إليها بعد، فهي لا تزال `sub_140001234`. لكن الرسم البياني يتذكر كل ما قام النموذج *باكتشافه*، إلى الأبد، عبر الجلسات، ويمكن لـ Claude التجول فيه مثل زميل قرأ قاعدة البيانات بدلاً من التحديق في دالة واحدة في كل مرة.

**قيد التطوير:**

- **تسمية السياق العميق** — اتبع أشجار الاستدعاء بمستويات N عميقة، وأطعم السلسلة الكاملة للنموذج. يجب أن تعرف دالة تبعد 3 قفزات عن `encrypt_block` أنها في مسار التشفير.
- **إزالة التعتيم** — كشف نمط TigressVM وتتبع المعالج
- **التصحيح الفعلي** — التفكيك موجود الآن في الرسم البياني حتى يتمكن الوكيل *من* تخطيط تصحيح على مستوى البايت؛ تحويل 'هذه هي التعليمات الدقيقة للتغيير' إلى 'وهذه هي الكتابة' هو الخطوة التالية.

---

## الفصل الثالث — الشبح يمشي عبر الجدران

الفصلان الأول والثاني يقرآن الملف الثنائي ويتذكرانه. لكن قراءة دالة تخبرك ما *هي*، وليس ما *تفعله* عند الضغط على الزناد. الفصل الثالث — [**phantomrt**](https://pypi.org/project/phantomrt/) — يضغط على الزناد.```bash
pip install "spectrida[atlas]"

**وفي روح قصة الرعب الخاصة بـ NSO أعلاه:** أول مطاردة حقيقية للأخطاء وجدت بصراحة
*لا شيء* — وكان السبب أكثر إثارة للاهتمام من أن يكون تعطلاً. عند توجيه الأداة نحو
نسخة قديمة حقيقية وضعيفة من FreeType، لم يعطِ التعتيم الأعمى أي نتيجة. ثم أبلغ التعتيم المُوجَّه بالتغطية عن تغطية منتصر بلغت **64,000 حافة** — وهي كذبة، لأن الملف الثنائي كان PIE و ASLR كان يعيد ترتيب العناوين بهدوء كل مرة تُشغَّل، لذا فإن "التغطية الجديدة" كانت في الغالب المُحمِّل وهو يُخلط الأوراق. عند تعطيل ASLR، ينخفض الرقم الصادق إلى 727 حافة حقيقية، ويتوقف عند هذا الحد — لأن كل بذرة كانت خط TrueType، لذا احتُجز المُعتِّم داخل محلل واحد ولم يستطع تحوير بنيويًا ليدخل إلى كود CFF/Type1/BDF حيث تعيش الأخطاء فعلًا. لم يكن الحل هو أداة تحوير أذكى، بل بذور أفضل: جلبت الوكيل عينات حقيقية من OpenType/Type1/BDF، وقفزت التغطية من 727 → 4,013 قبل تكرار تعتيم واحد، واستكشفت بشكل صحيح. لا يزال لا يوجد تعطل في الميزانية — وهي الحالة الصادقة لتشغيل لمدة 3 دقائق على نواة واحدة مقابل مهمة تستغرق عادةً ساعات. الآلية حقيقية. لقد اصطادت رقمها *المزيف* الخاص بدلاً من الإبلاغ عنه. هذا هو بيت القصيد.

**إخلاء مسؤولية شبحية صادقة:** phantomrt هي `0.1.0`. ألفا. إنها طبقة ديناميكية صلبة، وليست أداة كشف أخطاء سحرية — لقد وجدت أخطاءً مزروعة في هدف لعبة فوريًا، وفي الأهداف الحقيقية تُخبرك بصدق عندما تتعثر (`needs_state`)، وعندما يكون التعطل مجرد *مرشح* (اذهب وتحقق من أن المؤشر تحت سيطرة الإدخال بالفعل)، وعندما تحتاج فقط إلى المزيد من الوقت وبذور أفضل. مفاتيح التبديل الثنائية لا تعمل مباشرة — يحتاج Frida إلى شيء يمكنه تشغيله — لذا هناك، المحاكاة هي الباب الوحيد وسيظهر `needs_state` كثيرًا. هذا صادق، وليس معطلاً.

إنها الإضافة الثقيلة عمدًا (`torch`, `unicorn`, `frida`) — التثبيت الأساسي `pip install spectrida` لا يسحب أيًا منها. المصدر موجود في [`phantomrt/`](https://github.com/ggfuchsi-oss/spectrida-reverse_engineering_stack/blob/HEAD/phantomrt/)؛ وREADME الخاص بها بنكهتها الشبحية موجود [هناك](https://github.com/ggfuchsi-oss/spectrida-reverse_engineering_stack/blob/HEAD/phantomrt/README.md).

*الشبح الثابت يُسمي دوالّك. هذا الشبح يُجبرها على الاعتراف.* 👻

---

## الترخيص

MIT. افعل ما تشاء به. إذا عمل، رائع.
إذا لم يعمل، لُمْ تكميم GGUF.

بُني بحقد، قهوة، و RTX 4070.
النموذج لديه 199 تحميلاً بدون أي تسويق. كل تحميل يضيف 0.01% إلى سرعة التطوير.
(هذا ليس صحيحًا. لكنه قريب.) 👻